EN UA
Контакт
DevSecOps і комплаєнс

Безпека в кожному релізі, докази готові до кожного аудиту.

StackLane вбудовує перевірки безпеки у ваші CI/CD-пайплайни та хмарну платформу й готує компанію до аудитів інформаційної безпеки. Той самий пайплайн, що захищає продакшн, збирає й докази, яких вимагають аудитори.

Поговорити з інженером Які стандарти покриваємо
  • ISO 27001
  • SOC 2
  • GDPR
  • HIPAA
  • PCI DSS
  • NIS2
pipeline #1482 · mainpassed
  1. secretsgitleaks0 found
  2. sastsemgrep0 high
  3. dependenciestrivy2 low
  4. iaccheckovpassed
  5. sbomsyft412 pkgs
  6. signcosignsigned
  7. admissionkyvernoallowed
докази збережено → ISO 27001 A.8.28 · SOC 2 CC8.1 · PCI DSS 6.2
01Послуги

Інженерія безпеки, а не лише звіти

Ми налаштовуємо інструменти, разом з вашою командою виправляємо знахідки й залишаємо контролі, які працюють і після аудиту.

SL-01

Безпечний CI/CD

Пайплайни, що блокують реальні ризики й лишаються швидкими.

  • Захищені гілки та обов'язкове рев'ю змін
  • Короткоживучі облікові дані CI через OIDC
  • Security gates з погодженими порогами
  • GitHub Actions, GitLab CI, Azure DevOps, Jenkins
SL-02

Ланцюг постачання ПЗ

Відомо, що всередині кожного артефакту і звідки він узявся.

  • SBOM для кожної збірки
  • Підпис і перевірка образів через Sigstore
  • SLSA provenance для збірок
  • Оновлення залежностей через Renovate або Dependabot
SL-03

Тестування безпеки застосунків

Знахідки прямо в pull request, де їх найдешевше виправити.

  • SAST і пошук секретів у коді
  • Сканування залежностей і контейнерів
  • Сканування інфраструктури як коду
  • DAST на staging-середовищах
SL-04

Секрети й доступи

Жодних паролів у коді й постійних адмінських ключів.

  • Vault або хмарні менеджери секретів
  • IAM з мінімальними правами та перегляд ролей
  • SSO і MFA для кожної системи
  • Ротація ключів і шифрування через KMS
SL-05

Безпека хмари та Kubernetes

Захищені платформи з постійними перевірками.

  • Перевірки конфігурації за CIS Benchmarks
  • Admission-політики на Kyverno або OPA
  • Виявлення загроз у runtime через Falco
  • Централізовані логи безпеки та сповіщення
SL-06

Підготовка до комплаєнсу

Від gap-аналізу до спокійного тижня аудиту.

  • Gap-аналіз за обраним стандартом
  • Політики й процедури, що відповідають реальності
  • Автоматичний збір доказів
  • Супровід під час зовнішнього аудиту
02Пайплайн

Як виглядає захищений шлях до продакшну

Кожна зміна проходить ті самі перевірки дорогою в продакшн. На кожному етапі є контрольна точка, і кожен етап залишає запис.

  1. CODE

    Коміт

    • Пошук секретів перед push
    • Захищені гілки
    • Обов'язкове рев'ю коду

    gate: без секретів, затверджений pull request

  2. BUILD

    Тести

    • SAST для зміненого коду
    • Вразливості залежностей
    • Перевірка ліцензій

    gate: без нових critical і high

  3. PACKAGE

    Артефакт

    • Сканування образу контейнера
    • Генерація SBOM
    • Підпис образу

    gate: з CI виходять лише підписані образи

  4. DEPLOY

    Реліз

    • Сканування IaC plan
    • Перевірка підпису під час admission
    • Погодження для продакшну

    gate: лише маніфести, що відповідають політикам

  5. RUN

    Експлуатація

    • Виявлення загроз у runtime
    • Моніторинг конфігурації хмари
    • Контроль строків патчів

    gate: кожна знахідка має власника й дедлайн

RULE

Реліз блокують лише погоджені пороги. Решта знахідок стає задачею з відповідальним і дедлайном, тож розробників не зупиняє шум низького ризику.

03Комплаєнс

Стандарти, до яких ми готуємо

Починаємо зі стандарту, якого вимагають ваші клієнти чи регулятори, і використовуємо ті самі технічні контролі для наступного.

ISO/IEC 27001

Міжнародний

Система управління інформаційною безпекою, сертифікація акредитованим органом.

  • Межі ISMS і оцінка ризиків
  • Statement of Applicability для контролів Annex A
  • Внутрішній аудит і аналіз з боку керівництва

SOC 2

Ринок США

Звіт про відповідність Trust Services Criteria, який видає CPA-фірма.

  • Визначення меж і критеріїв
  • Контролі для Type I, потім Type II
  • Докази за період спостереження

GDPR

ЄС

Технічні й організаційні заходи для персональних даних (ст. 32).

  • Карта потоків даних
  • Шифрування, контроль доступу й логування
  • Технічна частина DPIA та реагування на витоки

HIPAA

Медицина США

Заходи Security Rule для систем, що обробляють медичну інформацію.

  • Аналіз ризиків безпеки
  • Технічні заходи захисту в хмарі
  • Журнали аудиту й перегляд доступів

PCI DSS v4.0.1

Картки

Вимоги до систем, що зберігають, обробляють або передають дані платіжних карток.

  • Звуження меж і сегментація
  • Безпечна розробка ПЗ (вимога 6)
  • Логування та управління вразливостями

NIS2

ЄС

Заходи з управління кіберризиками для суттєвих і важливих суб'єктів.

  • Gap-аналіз за заходами ст. 21
  • Безпека постачальників і робота з вразливостями
  • Готовність до звітування про інциденти (24 год / 72 год)

Один контроль, кілька стандартів

Добре збудований технічний контроль зазвичай закриває вимоги одразу кількох стандартів. Тому друга сертифікація потребує значно менше зусиль, ніж перша.

Технічний контрольISO 27001:2022SOC 2PCI DSS v4.0.1NIS2 ст. 21(2)
Зміни через pull request з рев'юA.8.32CC8.16.5.1(e)
Сканування вразливостей і строки патчівA.8.8CC7.16.3, 11.3(e)
SSO, MFA і мінімальні праваA.5.15, A.8.5CC6.17, 8(i), (j)
Централізоване логування й моніторингA.8.15, A.8.16CC7.210(b)
Шифрування даних у спокої та під час передачіA.8.24CC6.1, CC6.73, 4(h)

Спрощене зіставлення для ілюстрації. Точне зіставлення готуємо під ваші межі аудиту.

04Етапи

Шлях до готовності до аудиту

Кожен етап закінчується конкретним результатом, тож ви завжди знаєте, де перебуваєте.

  1. Gap-аналіз

    Інтерв'ю, огляд пайплайнів, хмарних акаунтів і наявних політик щодо обраного стандарту.

    звіт про розриви

  2. План усунення

    Знахідки впорядковані за ризиком і впливом на аудит, з відповідальними та реалістичними датами.

    roadmap

  3. Впровадження контролів

    Безпека пайплайнів, доступи, логування й hardening, які ми будуємо разом з вашими інженерами.

    контролі як код

  4. Докази й політики

    Політики, що описують те, що ви справді робите, і докази, які збираються автоматично, де це можливо.

    бібліотека доказів

  5. Аудит і далі

    Супровід під час зовнішнього аудиту, потім регулярні перевірки, щоб контролі не переставали працювати.

    супровід аудиту
05Технології

Інструменти, з якими працюємо

Open-source там, де він справляється, і комерційні платформи там, де вони у вас уже є.

Сканування коду й залежностей

  • Semgrep
  • CodeQL
  • SonarQube
  • Gitleaks
  • Trivy
  • Grype
  • OWASP ZAP

Ланцюг постачання

  • Syft
  • Sigstore cosign
  • SLSA
  • Renovate
  • Dependabot

Інфраструктура й політики

  • Checkov
  • Terraform
  • Kyverno
  • OPA Gatekeeper
  • Falco
  • Prowler

Секрети й ідентичність

  • HashiCorp Vault
  • AWS Secrets Manager
  • Azure Key Vault
  • External Secrets
  • OIDC federation

Безпека хмари

  • AWS Security Hub
  • GuardDuty
  • Microsoft Defender for Cloud
  • Google Security Command Center

CI/CD

  • GitHub Actions
  • GitLab CI
  • Azure DevOps
  • Jenkins
06Співпраця

Три способи почати

Більшість клієнтів починає з аудиту й вирішує щодо наступного кроку, маючи звіт на руках.

Фіксований обсяг

Оцінка безпеки й комплаєнсу

Де ви зараз і що потрібно, щоб пройти аудит.

  • Gap-аналіз за одним стандартом
  • Огляд безпеки пайплайнів і хмари
  • Пріоритезований план усунення
  • Презентація результатів керівництву
Проєкт

Впровадження DevSecOps

Будуємо контролі разом з вашими інженерами.

  • Захищені пайплайни та ланцюг постачання
  • Доступи, секрети й логування
  • Політики та збір доказів
  • Підготовка до аудиту й супровід
Постійно

Безперервний комплаєнс

Контролі працюють і між аудитами.

  • Щомісячний огляд контролів і знахідок
  • Перегляд доступів і оновлення доказів
  • Допомога з анкетами безпеки від клієнтів
  • Супровід наглядових аудитів
  • Ваші інструментиКонтролі живуть у ваших акаунтах і репозиторіях.
  • Реальні політикиДокументи описують те, що ви справді робите.
  • Мінімум доступуПрацюємо з мінімально потрібними правами.
  • Без прив'язкиПісля передачі ваша команда керує всім сама.
07Питання

Що нас часто запитують

Ви видаєте сертифікат або звіт SOC 2?

Ні. Сертифікати ISO 27001 видають акредитовані органи сертифікації, а звіти SOC 2 незалежні CPA-фірми. Ми готуємо вас до аудиту й супроводжуємо під час нього, тож аудитор лишається незалежним.

Скільки часу потрібно, щоб підготуватися до аудиту?

Для невеликої чи середньої хмарної компанії підготовка до ISO 27001 або SOC 2 Type I зазвичай займає кілька місяців. Для SOC 2 Type II потрібен ще період спостереження, як правило від 3 до 12 місяців. Реалістичну дату ви отримаєте після оцінки.

З якого стандарту почати?

З того, якого вимагають ваші клієнти чи регулятори. Корпоративні клієнти зі США часто просять SOC 2, європейські та міжнародні ISO 27001. NIS2 стосується багатьох компаній у ЄС залежно від сектору й розміру, PCI DSS даних платіжних карток, а HIPAA медичних даних у США.

Чи сповільнять перевірки безпеки наші релізи?

Швидкі перевірки запускаються на кожен pull request і тривають хвилини. Глибші сканування працюють за розкладом. Мердж блокують лише погоджені знахідки високого ризику, а пороги налаштовуємо разом з розробниками.

Чи робите ви тести на проникнення?

Автоматизоване тестування, зокрема DAST, ми запускаємо в пайплайні. Для формального пентесту радимо незалежну компанію й допомагаємо визначити обсяг і виправити знахідки.

Чи допоможете з анкетами безпеки від клієнтів?

Так. Допомагаємо відповісти на анкети й готуємо набір відповідей і документів, який можна використовувати повторно, тож наступна анкета займе години, а не дні.

Чи працюєте з компаніями за межами України?

Так. Працюємо віддалено англійською та українською з компаніями з ЄС, Великої Британії, США та інших регіонів.

08Контакт

Розкажіть, який аудит на вас чекає

Надішліть коротко про ваш продукт, інфраструктуру й потрібний стандарт. Відповість інженер.

Написати листа

Що варто вказати

  1. Стандарт і дедлайн, якщо він є.
  2. Хто вимагає: клієнт, партнер чи регулятор.
  3. Де працюють ваші системи: хмара, Kubernetes, on-premises.
  4. CI/CD-платформу й приблизний розмір команди.
  5. Інструменти безпеки, які вже використовуєте.